1.1 Datensicherheit – Grundlagen, TOMs und Zugriffsrechte

Maßnahmen, die Daten gegen Verlust, unerlaubte Veränderung und unberechtigte Nutzung schützen. Dazu gehören beispielsweise Sicherungskopien, Berechtigungen und Verschlüsselung.

• Vertraulichkeit: Nur Berechtigte können Informationen einsehen.
• Integrität: Informationen bleiben korrekt und vollständig; unerlaubte Veränderungen werden verhindert oder erkannt.
• Verfügbarkeit: Informationen und Dienste sind zum benötigten Zeitpunkt nutzbar.

Veröffentlichung → Vertraulichkeit. Manipulation → Integrität. Serverausfall → Verfügbarkeit. Ein Vorfall kann mehrere Schutzziele gleichzeitig beeinträchtigen.

Datenschutz betrifft den Umgang mit personenbezogenen Informationen und den Schutz der betroffenen Menschen. Datensicherheit schützt Daten unabhängig davon, ob sie einen Personenbezug haben. Beide Bereiche überschneiden sich.

Technische und organisatorische Maßnahmen. Technisch: Verschlüsselung, Firewall, MFA. Organisatorisch: Schulungen, geregelte Rechtevergabe, dokumentierte Backup-Verantwortung und Notfallabläufe.

• Zutritt: Wer darf in den Serverraum?
• Zugang: Wer darf sich am System anmelden?
• Zugriff: Wer darf eine bestimmte Datei lesen, ändern oder löschen?

Merksatz: Raum → System → Daten.

Weitergabekontrolle: Informationen bei Übermittlung und Weitergabe schützen, etwa durch verschlüsselte Verbindungen. Eingabekontrolle: Änderungen nachvollziehbar machen, beispielsweise über Protokolle mit Benutzer, Zeitpunkt und Aktion.

Auftragskontrolle: Verarbeitung gemäß festgelegten Vorgaben. Verfügbarkeitskontrolle: Ausfälle und Verlust abfangen. Datentrennung: Bestände für unterschiedliche Zwecke oder Mandanten getrennt halten.

Authentifizierung: Identität prüfen – „Wer bist du?“ Autorisierung: Berechtigung prüfen – „Was darfst du?“ Ein erfolgreicher Login erlaubt nicht automatisch den Zugriff auf alle Daten.

• Wissen: Passwort oder PIN.
• Besitz: Sicherheitsschlüssel oder registriertes Gerät.
• Sein: biometrisches Merkmal, etwa Fingerabdruck.

Nein. Beide gehören zur Kategorie Wissen. MFA kombiniert unabhängige Faktoren verschiedener Kategorien, zum Beispiel Passwort und Sicherheitsschlüssel.

• RBAC: Rechte folgen Rollen, etwa „Buchhaltung“.
• ABAC: Regeln werten Attribute aus, etwa Abteilung, Schutzklasse und Gerät.
• ACL: Eine Zugriffsliste legt Berechtigte und erlaubte Aktionen für ein Objekt fest.

Least Privilege: Nur die für eine Aufgabe notwendigen Rechte vergeben. Need-to-know: Informationen nur bei fachlichem Bedarf zugänglich machen. Ein Mitarbeiter benötigt beispielsweise Leserechte für einen Bericht, aber keine Löschrechte auf dem gesamten Laufwerk.

Aufgaben und Zuständigkeiten ändern sich. Nicht mehr benötigte Berechtigungen werden entzogen; bei Austritt wird der Zugang gesperrt. Sonst sammeln sich überflüssige Rechte an.

Kritische Arbeitsschritte werden auf mehrere Personen verteilt. Beispiel: Eine Person legt einen Zahlungsempfänger an, eine andere genehmigt die Zahlung. Das erschwert Missbrauch und reduziert Fehler.